Security Command Center, leer los hallazgos

Un hallazgo de Security Command Center tiene una clase. THREAT describe una actividad no deseada o maliciosa que ya ocurrió. VULNERABILITY describe una debilidad potencial en software. MISCONFIGURATION describe una debilidad potencial en la configuración de un recurso de nube. La versión 2 de la API añade otras (por ejemplo OBSERVATION y SCC_ERROR), que aquí no se usan.

La clase decide cómo se trabaja el hallazgo: una amenaza se investiga hoy, una mala configuración se corrige con su responsable y se mide su riesgo, y las dos se anotan con su evidencia.

Cada hallazgo trae, entre otros, category (el nombre del detector o de la regla), severity (CRITICAL, HIGH, MEDIUM o LOW), state (ACTIVE, si necesita atención y no se ha atendido; INACTIVE, si se corrigió o se dio por no problema), resourceName (el recurso afectado) y eventTime (cuándo ocurrió). Un hallazgo puede además estar silenciado por una regla de silencio: sigue existiendo, pero deja de mostrarse en las vistas normales.

La tabla hallazgos reúne seis hallazgos de ejemplo. Dos son de Event Threat Detection (nombres con dos puntos, como las técnicas) y los demás de Security Health Analytics (nombres en mayúsculas con guiones bajos).

Un bucket de Cloud Storage es público cuando su política de permisos concede acceso a allUsers o allAuthenticatedUsers; el detector PUBLIC_BUCKET_ACL lo busca. Un bucket público puede ser un error o una decisión (las portadas de los libros se publican a propósito). Lo que separa un caso del otro no es el detector sino lo que la organización decidió y dejó escrito.

La consulta de la tabla devuelve todos los hallazgos de ese detector, con su estado y su marca de silenciado. Un hallazgo silenciado ya fue valorado por alguien con una regla; uno activo y sin silenciar está esperando a que alguien lo valore.

SERVICE_ACCOUNT_KEY_NOT_ROTATED salta cuando una llave administrada por el usuario lleva más de 90 días sin rotarse; el detector mide desde la propiedad validAfterTime de la llave. Excluye las llaves vencidas y las que no administra el usuario. El detector dice que pasaron más de 90 días, no cuántos: ese número se calcula con la fecha de creación y la de hoy.

La tabla llaves_sa trae las llaves de las cuentas de servicio del proyecto con su fecha validAfterTime. Hoy es el 14 de septiembre de 2026. Cuenta los días completos entre las dos fechas.

Event Threat Detection analiza los registros de auditoría y otros para detectar amenazas, y según la documentación de Google requiere el nivel Premium o el Enterprise de Security Command Center. Un hallazgo como «Persistence: IAM Anomalous Grant» solo puede existir si ese detector está activo en el nivel que la organización contrató.

Eso importa al leer una lista vacía. Que una lista no tenga hallazgos de un tipo no dice que el tipo de evento no ocurrió: dice que no se detectó, y puede ser porque nada pasó, porque el detector no está cubierto por el nivel o porque no está habilitado.